आईपीएसईसी के माध्यम से बीलाइन आईपीवीपीएन कैसे प्राप्त करें। भाग ---- पहला

नमस्ते! में पिछला पद मैंने हमारी मल्टीसिम सेवा के कार्य का आंशिक रूप से वर्णन किया आरक्षण и संतुलन चैनल. जैसा कि उल्लेख किया गया है, हम ग्राहकों को वीपीएन के माध्यम से नेटवर्क से जोड़ते हैं, और आज मैं आपको इस भाग में वीपीएन और हमारी क्षमताओं के बारे में थोड़ा और बताऊंगा।

यह इस तथ्य से शुरू करने लायक है कि एक दूरसंचार ऑपरेटर के रूप में, हमारे पास अपना विशाल एमपीएलएस नेटवर्क है, जो फिक्स्ड-लाइन ग्राहकों के लिए दो मुख्य खंडों में विभाजित है - एक जिसका उपयोग सीधे इंटरनेट तक पहुंचने के लिए किया जाता है, और एक जो पृथक नेटवर्क बनाने के लिए उपयोग किया जाता है - और यह इस एमपीएलएस सेगमेंट के माध्यम से है कि आईपीवीपीएन (एल 3 ओएसआई) और वीपीएलएएन (एल 2 ओएसआई) ट्रैफिक हमारे कॉर्पोरेट ग्राहकों के लिए प्रवाहित होता है।

आमतौर पर, क्लाइंट कनेक्शन निम्नानुसार होता है।

नेटवर्क के निकटतम उपस्थिति बिंदु (नोड एमईएन, आरआरएल, बीएसएसएस, एफटीटीबी, आदि) से ग्राहक के कार्यालय तक एक एक्सेस लाइन बिछाई जाती है और आगे, चैनल को परिवहन नेटवर्क के माध्यम से संबंधित पीई-एमपीएलएस में पंजीकृत किया जाता है। राउटर, जिस पर हम इसे वीआरएफ क्लाइंट के लिए विशेष रूप से बनाए गए ट्रैफ़िक प्रोफ़ाइल को ध्यान में रखते हुए आउटपुट करते हैं, जिसकी क्लाइंट को आवश्यकता होती है (आईपी प्राथमिकता मान 0,1,3,5 के आधार पर प्रत्येक एक्सेस पोर्ट के लिए प्रोफ़ाइल लेबल चुने जाते हैं, XNUMX).

यदि किसी कारण से हम ग्राहक के लिए अंतिम मील को पूरी तरह से व्यवस्थित नहीं कर सकते हैं, उदाहरण के लिए, ग्राहक का कार्यालय एक व्यापार केंद्र में स्थित है, जहां कोई अन्य प्रदाता प्राथमिकता है, या हमारे पास बस हमारी उपस्थिति का बिंदु नहीं है, तो पहले के ग्राहक विभिन्न प्रदाताओं (सबसे अधिक लागत प्रभावी वास्तुकला नहीं) पर कई आईपीवीपीएन नेटवर्क बनाने थे या इंटरनेट पर आपके वीआरएफ तक पहुंच के आयोजन के मुद्दों को स्वतंत्र रूप से हल करना था।

कई लोगों ने आईपीवीपीएन इंटरनेट गेटवे स्थापित करके ऐसा किया - उन्होंने एक बॉर्डर राउटर (हार्डवेयर या कुछ लिनक्स-आधारित समाधान) स्थापित किया, एक पोर्ट के साथ एक आईपीवीपीएन चैनल और दूसरे के साथ एक इंटरनेट चैनल जोड़ा, उस पर अपना वीपीएन सर्वर लॉन्च किया और कनेक्ट किया। उपयोगकर्ता अपने स्वयं के वीपीएन गेटवे के माध्यम से। स्वाभाविक रूप से, ऐसी योजना बोझ भी पैदा करती है: ऐसे बुनियादी ढांचे का निर्माण किया जाना चाहिए और, सबसे असुविधाजनक रूप से, संचालित और विकसित किया जाना चाहिए।

अपने ग्राहकों के जीवन को आसान बनाने के लिए, हमने एक केंद्रीकृत वीपीएन हब स्थापित किया और आईपीएसईसी का उपयोग करके इंटरनेट पर कनेक्शन के लिए समर्थन का आयोजन किया, यानी, अब ग्राहकों को किसी भी सार्वजनिक इंटरनेट पर आईपीएसईसी सुरंग के माध्यम से हमारे वीपीएन हब के साथ काम करने के लिए केवल अपने राउटर को कॉन्फ़िगर करने की आवश्यकता है। , और हम इस ग्राहक के ट्रैफ़िक को इसके वीआरएफ में जारी करते हैं।

किसकी आवश्यकता होगी

• उन लोगों के लिए जिनके पास पहले से ही एक बड़ा IPVPN नेटवर्क है और उन्हें कम समय में नए कनेक्शन की आवश्यकता है।
• कोई भी, जो किसी कारण से, सार्वजनिक इंटरनेट से ट्रैफ़िक का कुछ हिस्सा आईपीवीपीएन पर स्थानांतरित करना चाहता है, लेकिन पहले कई सेवा प्रदाताओं से जुड़ी तकनीकी सीमाओं का सामना कर चुका है।
• उन लोगों के लिए जिनके पास वर्तमान में विभिन्न दूरसंचार ऑपरेटरों में कई अलग-अलग वीपीएन नेटवर्क हैं। ऐसे ग्राहक हैं जिन्होंने बीलाइन, मेगफॉन, रोस्टेलकॉम आदि से सफलतापूर्वक आईपीवीपीएन का आयोजन किया है। इसे आसान बनाने के लिए, आप केवल हमारे एकल वीपीएन पर रह सकते हैं, अन्य ऑपरेटरों के अन्य सभी चैनलों को इंटरनेट पर स्विच कर सकते हैं, और फिर इन ऑपरेटरों से आईपीएसईसी और इंटरनेट के माध्यम से बीलाइन आईपीवीपीएन से जुड़ सकते हैं।
• उन लोगों के लिए जिनके पास पहले से ही इंटरनेट पर आईपीवीपीएन नेटवर्क मौजूद है।

यदि आप हमारे साथ सब कुछ तैनात करते हैं, तो ग्राहकों को पूर्ण वीपीएन समर्थन, गंभीर बुनियादी ढांचा अतिरेक और मानक सेटिंग्स प्राप्त होती हैं जो किसी भी राउटर पर काम करेंगी (चाहे वह सिस्को हो, यहां तक ​​​​कि मिकरोटिक भी हो, मुख्य बात यह है कि यह ठीक से समर्थन कर सकता है) मानकीकृत प्रमाणीकरण विधियों के साथ IPSec/IKEv2)। वैसे, आईपीएसईसी के बारे में - अभी हम केवल इसका समर्थन करते हैं, लेकिन हम ओपनवीपीएन और वायरगार्ड दोनों का पूर्ण संचालन शुरू करने की योजना बना रहे हैं, ताकि ग्राहक प्रोटोकॉल पर निर्भर न रह सकें और हमारे लिए सब कुछ लेना और स्थानांतरित करना और भी आसान हो जाए। और हम ग्राहकों को कंप्यूटर और मोबाइल उपकरणों (ओएस, सिस्को एनीकनेक्ट और स्ट्रांगस्वान और इसी तरह में निर्मित समाधान) से कनेक्ट करना भी शुरू करना चाहते हैं। इस दृष्टिकोण के साथ, केवल सीपीई या होस्ट के कॉन्फ़िगरेशन को छोड़कर, बुनियादी ढांचे का वास्तविक निर्माण सुरक्षित रूप से ऑपरेटर को सौंपा जा सकता है।

आईपीएसईसी मोड के लिए कनेक्शन प्रक्रिया कैसे काम करती है:

1. ग्राहक अपने प्रबंधक को एक अनुरोध छोड़ता है जिसमें वह सुरंग के लिए आवश्यक कनेक्शन गति, ट्रैफ़िक प्रोफ़ाइल और आईपी एड्रेसिंग पैरामीटर (डिफ़ॉल्ट रूप से, /30 मास्क वाला एक सबनेट) और रूटिंग का प्रकार (स्थैतिक या बीजीपी) इंगित करता है। कनेक्टेड ऑफिस में क्लाइंट के स्थानीय नेटवर्क में रूट ट्रांसफर करने के लिए, क्लाइंट राउटर पर उपयुक्त सेटिंग्स का उपयोग करके आईपीएसईसी प्रोटोकॉल चरण के IKEv2 तंत्र का उपयोग किया जाता है, या उन्हें क्लाइंट के एप्लिकेशन में निर्दिष्ट निजी बीजीपी एएस से एमपीएलएस में बीजीपी के माध्यम से विज्ञापित किया जाता है। . इस प्रकार, क्लाइंट नेटवर्क के मार्गों के बारे में जानकारी क्लाइंट द्वारा क्लाइंट राउटर की सेटिंग्स के माध्यम से पूरी तरह से नियंत्रित की जाती है।
2. अपने प्रबंधक से जवाब में, ग्राहक को फॉर्म के अपने वीआरएफ में शामिल करने के लिए लेखांकन डेटा प्राप्त होता है:
   • वीपीएन-हब आईपी पता
   • Логин
   • प्रमाणीकरण पासवर्ड
3. सीपीई को कॉन्फ़िगर करता है, उदाहरण के लिए, दो बुनियादी कॉन्फ़िगरेशन विकल्प:

   सिस्को के लिए विकल्प:
   क्रिप्टो ikev2 कीरिंग BeelineIPsec_keyring
   पीयर बीलाइन_वीपीएनहब
   पता 62.141.99.183 -वीपीएन हब बीलाइन
   पूर्व-साझा-कुंजी <प्रमाणीकरण पासवर्ड>
   !
   स्थिर रूटिंग विकल्प के लिए, वीपीएन-हब के माध्यम से पहुंच योग्य नेटवर्क के मार्गों को IKEv2 कॉन्फ़िगरेशन में निर्दिष्ट किया जा सकता है और वे स्वचालित रूप से सीई रूटिंग तालिका में स्थिर मार्गों के रूप में दिखाई देंगे। ये सेटिंग्स स्थैतिक मार्गों को सेट करने की मानक विधि का उपयोग करके भी की जा सकती हैं (नीचे देखें)।

   क्रिप्टो ikev2 प्राधिकरण नीति FlexClient-लेखक

   सीई राउटर के पीछे नेटवर्क का रूट - सीई और पीई के बीच स्थिर रूटिंग के लिए एक अनिवार्य सेटिंग। जब सुरंग को IKEv2 इंटरैक्शन के माध्यम से ऊपर उठाया जाता है तो पीई में रूट डेटा का स्थानांतरण स्वचालित रूप से किया जाता है।

   रूट सेट रिमोट आईपीवी4 10.1.1.0 255.255.255.0 -कार्यालय स्थानीय नेटवर्क
   !
   क्रिप्टो ikev2 प्रोफ़ाइल BeelineIPSec_profile
   पहचान स्थानीय <लॉगिन>
   प्रमाणीकरण स्थानीय प्री-शेयर
   प्रमाणीकरण रिमोट प्री-शेयर
   कीरिंग स्थानीय BeelineIPsec_keyring
   एएए प्राधिकरण समूह पीएसके सूची समूह-लेखक-सूची फ्लेक्सक्लाइंट-लेखक
   !
   क्रिप्टो ikev2 क्लाइंट flexvpn BeelineIPsec_flex
   पीयर 1 बीलाइन_वीपीएनहब
   क्लाइंट कनेक्ट टनल1
   !
   क्रिप्टो आईपीएसईसी ट्रांसफॉर्म-सेट ट्रांसफ़ॉर्म1 ईएसपी-एईएस 256 ईएसपी-एसएचए256-एचएमएसी
   मोड सुरंग
   !
   क्रिप्टो आईपीएससीई प्रोफ़ाइल डिफ़ॉल्ट
   सेट ट्रांसफ़ॉर्म-सेट ट्रांसफ़ॉर्म1
   ikev2-प्रोफ़ाइल BeelineIPSec_profile सेट करें
   !
   इंटरफ़ेस सुरंग1
   आईपी ​​पता 10.20.1.2 255.255.255.252 -सुरंग का पता
   सुरंग स्रोत GigabitEthernet0/2 -इंटरनेट एक्सेस इंटरफ़ेस
   टनल मोड आईपीएसईसी आईपीवी4
   सुरंग गंतव्य गतिशील
   सुरंग सुरक्षा आईपीएसईसी प्रोफ़ाइल डिफ़ॉल्ट
   !
   बीलाइन वीपीएन कंसंट्रेटर के माध्यम से पहुंच योग्य ग्राहक के निजी नेटवर्क के मार्गों को स्थिर रूप से सेट किया जा सकता है।

   आईपी ​​मार्ग 172.16.0.0 255.255.0.0 सुरंग1
   आईपी ​​मार्ग 192.168.0.0 255.255.255.0 सुरंग1

   हुआवेई के लिए विकल्प (ar160/120):
   जैसे स्थानीय नाम <लॉगिन>
   #
   एसीएल नाम आईपीएसईसी 3999
   नियम 1 परमिट आईपी स्रोत 10.1.1.0 0.0.0.255 -कार्यालय स्थानीय नेटवर्क
   #
   एएए
   सेवा-योजना आईपीएसईसी
   रूट सेट एसीएल 3999
   #
   आईपीएसईसी प्रस्ताव आईपीएसईसी
   esp प्रमाणीकरण-एल्गोरिदम sha2-256
   ईएसपी एन्क्रिप्शन-एल्गोरिदम एईएस-256
   #
   जैसे प्रस्ताव डिफ़ॉल्ट
   एन्क्रिप्शन-एल्गोरिदम एईएस-256
   डीएच समूह2
   प्रमाणीकरण-एल्गोरिदम sha2-256
   प्रमाणीकरण-विधि पूर्व-शेयर
   अखंडता-एल्गोरिदम hmac-sha2-256
   पीआरएफ एचएमएसी-एसएचए2-256
   #
   जैसे कि पीयर आईपीएसईसी
   पूर्व-साझा-कुंजी सरल <प्रमाणीकरण पासवर्ड>
   स्थानीय-आईडी-प्रकार fqdn
   रिमोट-आईडी-प्रकार आईपी
   रिमोट-पता 62.141.99.183 -वीपीएन हब बीलाइन
   सेवा-योजना आईपीएसईसी
   कॉन्फिग-एक्सचेंज अनुरोध
   कॉन्फिग-एक्सचेंज सेट स्वीकार करें
   कॉन्फिग-एक्सचेंज सेट भेजें
   #
   आईपीएसईसी प्रोफाइल आईपीएसईसीप्रोफ
   इके-पीयर आईपीएसईसी
   प्रस्ताव आईपीएसईसी
   #
   इंटरफ़ेस टनल0/0/0
   आईपी ​​पता 10.20.1.2 255.255.255.252 -सुरंग का पता
   सुरंग-प्रोटोकॉल आईपीएसईसी
   स्रोत GigabitEthernet0/0/1 -इंटरनेट एक्सेस इंटरफ़ेस
   आईपीएसईसी प्रोफाइल आईपीएसईसीप्रोफ
   #
   बीलाइन वीपीएन कंसंट्रेटर के माध्यम से पहुंच योग्य ग्राहक के निजी नेटवर्क के मार्गों को स्थिर रूप से सेट किया जा सकता है

   आईपी ​​रूट-स्टैटिक 192.168.0.0 255.255.255.0 टनल0/0/0
   आईपी ​​रूट-स्टैटिक 172.16.0.0 255.255.0.0 टनल0/0/0

परिणामी संचार आरेख कुछ इस तरह दिखता है:

यदि क्लाइंट के पास बुनियादी कॉन्फ़िगरेशन के कुछ उदाहरण नहीं हैं, तो हम आमतौर पर उनके गठन में मदद करते हैं और उन्हें बाकी सभी के लिए उपलब्ध कराते हैं।

जो कुछ बचा है वह सीपीई को इंटरनेट से कनेक्ट करना है, वीपीएन सुरंग के प्रतिक्रिया भाग और वीपीएन के अंदर किसी भी होस्ट को पिंग करना है, और यही है, हम मान सकते हैं कि कनेक्शन बना दिया गया है।

अगले लेख में हम आपको बताएंगे कि हमने Huawei CPE का उपयोग करके इस योजना को IPSec और मल्टीसिम रिडंडेंसी के साथ कैसे जोड़ा: हम ग्राहकों के लिए अपना Huawei CPE स्थापित करते हैं, जो न केवल एक वायर्ड इंटरनेट चैनल का उपयोग कर सकता है, बल्कि 2 अलग-अलग सिम कार्ड और CPE का भी उपयोग कर सकता है। स्वचालित रूप से वायर्ड WAN या रेडियो (LTE#1/LTE#2) के माध्यम से IPSec-सुरंग का पुनर्निर्माण करता है, जिससे परिणामी सेवा की उच्च दोष सहनशीलता का एहसास होता है।

इस लेख को तैयार करने के लिए हमारे आरएनडी सहयोगियों को विशेष धन्यवाद (और, वास्तव में, इन तकनीकी समाधानों के लेखकों को)!

स्रोत: www.habr.com